LsassReflectDumping

Dieses Tool nutzt die Process-Forking-Technik mithilfe der RtlCreateProcessReflection-API, um den lsass.exe-Prozess zu klonen. Sobald der Klon erstellt ist, verwendet es MINIDUMP_CALLBACK_INFORMATION-Callbacks, um einen Speicherabbild des geklonten Prozesses zu erzeugen.

Schritte

• Abrufen des Handles des Lsass.exe-Prozesses
• Klonen des Lsass.exe-Prozesses mithilfe von RtlCreateProcessReflection (Process Forking)
• Verwenden von MINIDUMP_CALLBACK_INFORMATION-Callbacks, um einen Minidump des geklonten Prozesses zu erstellen
• Bestätigen von Inhalt und Größe des Dumps.
• Beenden des geklonten Prozesses.

Verwendung

Führen Sie einfach die kompilierte Datei aus.

ReflectDump.exe 

Offline-Dumping

Verwenden Sie Mimikatz oder Pypykatz, um die Dump-Datei offline zu analysieren.

sekurlsa::minidump [filename] sekurlsa::logonpasswords
pypykatz lsa minidump [filename]

Geplante Funktionen

* Encrypt dump before writing on disk to bypass static detection.
* Exfiltrate on C2 Server

Haftungsausschluss

Der Inhalt dieses Repositorys dient nur zu Bildungs- und Informationszwecken.

Referenz

https://www.deepinstinct.com/blog/dirty-vanity-a-new-approach-to-code-injection-edr-bypass